Datenschutz

Teil A: Datenschutzerklärung

Diese Erklärung richtet sich nach dem Schweizer Bundesgesetz über den Datenschutz (DSG) und der zugehörigen Verordnung (DSV).

1. Verantwortliche Stelle

HuusFlow Kotsakidis
Steinackerstrasse 2a
8302 Kloten, Schweiz

Kontakt für Datenschutzfragen: contact@huusflow.ch

2. Welche Daten wir auf dieser Website bearbeiten

Server-Zugriffsdaten: Beim Aufruf dieser Website erfasst unser Server automatisch technische Angaben (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp). Diese Daten dienen der Sicherheit und Stabilität des Betriebs und werden nicht mit anderen Datenquellen zusammengeführt.

Kontakt- und Demo-Anfragen: Wenn Sie uns über das Demo-Formular oder per E-Mail kontaktieren, bearbeiten wir die von Ihnen angegebenen Daten (Name, E-Mail, Telefon, Firma, Nachricht) ausschliesslich zur Beantwortung Ihrer Anfrage und zur Vorbereitung eines allfälligen Vertrags.

Keine Werbe-Tracker: Diese Website verwendet keine Werbe-Cookies, kein Behavioral Tracking, keine Social-Media-Pixel und keine Reichweitenmessung durch Dritte.

Keine Anfragen an Dritte: Schriften und alle weiteren Ressourcen liefern wir von unserem eigenen Server aus. Beim Aufruf dieser Website wird Ihre IP-Adresse an keinen Drittanbieter übermittelt.

3. Hosting

Diese Website und die HuusFlow-Applikation werden auf Servern in der Schweiz betrieben (Infomaniak Network SA, Genf). Dort liegen auch die Datenbank und die gespeicherten Belege. Ausserhalb der Schweiz werden Personendaten nur für den unter Ziffer 4 beschriebenen Schritt der Texterkennung bearbeitet.

4. Datenbearbeitung in der HuusFlow-Applikation

Für Kunden, die HuusFlow nutzen, bearbeiten wir Belegdaten (Rechnungen, Quittungen, Lieferscheine) im Auftrag des Kunden. Die Übertragung erfolgt verschlüsselt. Details regelt der Auftragsbearbeitungsvertrag, zusammengefasst in Teil B.

Wo die KI-Verarbeitung stattfindet: Die automatische Erkennung und Kontierung läuft über Google Vertex AI. Wir haben die Verarbeitung fest auf die Rechenzentrumsregion Niederlande (europe-west4) eingestellt und nicht auf die Voreinstellung belassen, bei der der Anbieter den Ort selbst wählt. Für diesen Schritt verlassen Ihre Belege die Schweiz. Eine Bearbeitung in den Vereinigten Staaten findet nicht statt. Die Niederlande sind ein EU-Mitgliedstaat und stehen auf der Liste des Bundesrats der Staaten mit angemessenem Datenschutz (Anhang 1 DSV), weshalb sich die Bekanntgabe auf Art. 16 Abs. 1 DSG stützt und keine zusätzlichen Garantien erforderlich sind. Wir weisen darauf hin, dass Anbieter mit einer Konzernmutter in den Vereinigten Staaten ungeachtet des Verarbeitungsorts dem US CLOUD Act unterstehen können.

Verarbeitung auf Schweizer Servern auf Wunsch: Auf Wunsch richten wir Ihr Mandat auf ein Modell ein, das vollständig auf Schweizer Servern läuft. Damit findet auch die Texterkennung in der Schweiz statt. Wir empfehlen dies nicht als Standard, weil unser eigener Vergleichstest mit rund 3000 Belegen eine deutlich höhere Nachbesserungsquote und eine längere Verarbeitungszeit ergeben hat. Was das im Einzelnen bedeutet, legen wir auf unserer Transparenzseite mit Zahlen offen.

Keine Weiterverarbeitung: Google sagt für Vertex AI vertraglich zu, dass übermittelte Inhalte nicht zum Trainieren oder Verbessern von KI-Modellen verwendet und nicht für andere Kunden zugänglich gemacht werden. Ihre Belege dienen ausschliesslich der Verarbeitung Ihrer eigenen Anfrage.

Keine automatisierte Einzelentscheidung: Die Vorschläge des Systems werden Ihnen zur Kontrolle vorgelegt und erst nach Ihrer Freigabe übertragen. Eine automatisierte Einzelentscheidung im Sinne von Art. 21 DSG findet nicht statt.

5. Weitergabe von Daten

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Eine Weitergabe erfolgt nur an die in Teil B genannten Unterauftragsbearbeiter, soweit dies für den Betrieb erforderlich ist, sowie dann, wenn wir gesetzlich dazu verpflichtet sind, insbesondere gegenüber Schweizer Behörden im Rahmen eines rechtmässigen Verfahrens.

6. Aufbewahrung und Löschung

Wir bewahren Personendaten nur so lange auf, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten es verlangen. Im Einzelnen:

Server-Zugriffsdaten: 90 Tage, danach automatische Löschung.

Kontakt- und Demo-Anfragen: 24 Monate nach dem letzten Kontakt, sofern kein Vertrag zustande kommt.

Belegdaten und Buchungen von Kunden: für die Dauer des Vertrags. Nach Vertragsende löschen wir sie innert 30 Tagen, sofern Sie vorher keinen Export verlangt haben.

Sicherungskopien: im Rahmen des ordentlichen Sicherungszyklus, spätestens 90 Tage nach dem Löschzeitpunkt.

Zugangs-Tokens für angebundene Systeme: bis 12 Monate nach der letzten Verwendung.

Protokolle über Support-Zugriffe: für die Dauer des Vertrags.

Auf Verlangen bestätigen wir die Löschung in Textform.

7. Aufbewahrungspflichten und Archivierung

Geschäftsbücher und Buchungsbelege müssen nach Art. 958f OR und nach der Geschäftsbücherverordnung zehn Jahre aufbewahrt werden. Diese Pflicht trifft Sie als Unternehmen, nicht uns.

HuusFlow ist nicht Ihr Archiv. Die verarbeiteten Belege werden in Ihr Buchhaltungssystem übertragen und dort aufbewahrt. Wir halten die Daten während der Vertragsdauer für den laufenden Betrieb vor, nicht als revisionssicheres Langzeitarchiv. Bitte stellen Sie sicher, dass Ihre Aufbewahrung dort geregelt ist.

8. Datensicherheit

Wir treffen die technischen und organisatorischen Massnahmen nach Art. 8 DSG und Art. 1 ff. DSV. Dazu gehören insbesondere:

Verschlüsselung: Übertragung ausschliesslich über TLS. Dateien und Datenbank sind im Speicher mit AES-256 verschlüsselt. Passwörter werden nicht im Klartext gespeichert, sondern als nicht rückrechenbare Prüfwerte.

Trennung der Mandate: Die Daten jedes Kunden werden getrennt geführt. Die Trennung wird auf Ebene der Datenabfrage durchgesetzt, nicht auf Ebene der Benutzeroberfläche.

Zugriff durch uns: Wir greifen nicht auf Ihre Inhalte zu. Wird zur Bearbeitung einer Supportanfrage eine Einsicht in Ihre Ansicht nötig, holen wir vorher ausdrücklich Ihre Zustimmung ein, in der Regel unmittelbar im Supportgespräch. Der Zugriff bleibt auf das Nötige beschränkt, wird protokolliert und endet mit dem Abschluss des Anliegens.

Rechenzentrum: Betrieb bei der Infomaniak Network SA in Genf. Der Betreiber ist nach eigenen Angaben nach ISO/IEC 27001 zertifiziert.

Sicherungskopien: Wir halten mehrere Kopien auf getrennten Systemen und spielen die Sicherung regelmässig testweise zurück.

Entwicklung und Betrieb orientieren sich an den Anforderungen von ISO 27001. Die Zertifizierung ist in Vorbereitung.

9. Verletzungen der Datensicherheit

Kommt es zu einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, melden wir dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten so rasch als möglich (Art. 24 DSG).

Sind Kundendaten betroffen, die wir im Auftrag bearbeiten, informieren wir den Kunden unverzüglich, spätestens innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben. Die Meldung an die Aufsichtsbehörde und gegebenenfalls an die betroffenen Personen obliegt in diesem Fall dem Kunden.

10. Ihre Rechte

Nach Art. 25 bis 29 DSG haben Sie das Recht auf Auskunft über die zu Ihrer Person bearbeiteten Daten, auf Berichtigung unrichtiger Daten, auf Löschung oder Einschränkung der Bearbeitung, auf Herausgabe oder Übertragung Ihrer Daten in einem gängigen elektronischen Format sowie das Recht, einer Bearbeitung zu widersprechen.

Wenden Sie sich dafür an contact@huusflow.ch. Wir beantworten Anfragen in der Regel innert 30 Tagen. Zur Identitätsprüfung können wir zusätzliche Angaben verlangen.

Sie haben ausserdem das Recht, sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, zu beschweren.

11. Änderungen

Wir können diese Erklärung anpassen, wenn sich unsere Bearbeitung oder die Rechtslage ändert. Massgebend ist die jeweils auf dieser Seite veröffentlichte Fassung. Kunden informieren wir über wesentliche Änderungen zusätzlich in Textform.

Teil B: Auftragsbearbeitung im Überblick

Dieser Teil fasst zusammen, was gilt, wenn wir Belegdaten in Ihrem Auftrag bearbeiten. Massgebend ist der vollständige Auftragsbearbeitungsvertrag, den wir Ihnen vor Vertragsschluss zustellen und jederzeit auf Anfrage aushändigen.

12. Rollen

Sie sind Verantwortlicher im Sinne des DSG, HuusFlow ist Auftragsbearbeiter. Wir bearbeiten Ihre Daten ausschliesslich auf Ihre dokumentierte Weisung und nie zu eigenen Zwecken.

Sind Sie Treuhänderin oder Treuhänder, so bleiben Sie gegenüber Ihren eigenen Mandanten verantwortlich. Artikel 9 DSG verlangt von Ihnen, sich zu vergewissern, dass wir die Datensicherheit gewährleisten können, und verlangt Ihre vorgängige Genehmigung für den Beizug von Unterauftragsbearbeitern. Deshalb legen wir diese hier namentlich offen.

13. Verarbeitungsorte

Speicherung, Datenbank, Dateien und Betrieb: Schweiz, Genf.

Texterkennung und Datenextraktion: Niederlande, Region europe-west4.

Vereinigte Staaten: keine Verarbeitung.

Den vollständigen Weg eines Belegs zeigen wir Schritt für Schritt auf der Transparenzseite.

14. Unterauftragsbearbeiter

Infomaniak Network SA, Genf, Schweiz: Betrieb der Server, der Datenbank und des Dateispeichers. Verarbeitung in der Schweiz. Schweizer Gesellschaft ohne ausländische Konzernmutter.

Google (Vertex AI): KI-gestützte Texterkennung und Datenextraktion aus Belegen. Verarbeitung in den Niederlanden. Grundlage der Bekanntgabe ist Art. 16 Abs. 1 DSG. Hinweis: Konzernmutter mit Sitz in den Vereinigten Staaten, ein Zugriff nach US CLOUD Act ist nicht ausgeschlossen. Kundendaten werden vertraglich nicht zum Modelltraining verwendet.

Ihr Buchhaltungssystem ist kein Unterauftragsbearbeiter von uns. Die Übertragung dorthin erfolgt auf Ihre Weisung in ein System, das Sie selbst betreiben und verantworten.

Wir informieren Sie mindestens 30 Tage im Voraus in Textform, bevor ein weiterer Unterauftragsbearbeiter hinzukommt oder ein bestehender wechselt. Sie können aus wichtigem datenschutzrechtlichem Grund widersprechen.

15. Schutzmassnahmen

Es gelten die unter Ziffer 8 beschriebenen Massnahmen. Auf Anfrage stellen wir Ihnen die Angaben zur Verfügung, die Sie benötigen, um sich nach Art. 9 Abs. 2 DSG zu vergewissern, dass wir die Datensicherheit gewährleisten können.

16. Ihre Rechte als Kunde

Sie können jederzeit einen vollständigen Export Ihrer Daten in einem gängigen Format verlangen.

Sie können die Einhaltung des Auftragsbearbeitungsvertrags überprüfen, in der Regel durch Einsicht in Dokumentation, Berichte und Zertifikate, im begründeten Fall auch vor Ort nach Ankündigung.

Wir unterstützen Sie bei Auskunfts-, Berichtigungs-, Lösch- und Herausgabebegehren Ihrer eigenen Kunden. Richtet sich ein solches Begehren direkt an uns, leiten wir es an Sie weiter und beantworten es nicht selbst.

Nach Vertragsende geben wir Ihre Daten heraus und löschen sie anschliessend nach Ziffer 6.

17. Fragen

Haben Sie Fragen dazu, wo und wie Ihre Daten bearbeitet werden? Schreiben Sie uns an contact@huusflow.ch. Sie bekommen konkrete Angaben, keine Marketingsätze.